Das von den deutschen Aufsichtsbehörden entwickelte Standard-Datenschutzmodell (SDM) soll in vier Schritten zur selbsttätigen Prüfung und Verbesserung des Datenschutzes im Unternehmen befähigen: Auf die Kontextanalyse der Datenverarbeitung sowie eine rechtliche Bewertung der einzelnen Datenverarbeitungen folgt die Spezifizierung der Gewährleistungsziele, um anschließend einen Soll-Ist- bzw. Soll-Plan-Vergleich durchführen zu können. Im dritten Beitrag der activeMind Artikelserie erläutern wir Ihnen die erfolgreiche Anwendung des Standard-Datenschutzmodells inklusive aller notwendigen Prüfschritte.
1. Schritt: Kontextanalyse der Datenverarbeitung
Die Kontextanalyse dient dazu, die praktischen Umstände der Datenverarbeitung zu erfassen. Wichtig ist hier zunächst, die Personen zu ermitteln, die an der Datenverarbeitung beteiligt sind. Danach ist die interne und ggf. externe Verantwortlichkeit zu klären: Wer leitet das Verfahren? Welche Dienstleister sind an der Verarbeitung beteiligt und wie sind hier die Verantwortlichkeiten geregelt?
Anschließend muss die Rechtsgrundlage der Datenverarbeitung bestimmt werden. Hierbei kann es sich um ein vertragliches oder vertragsähnliches Verhältnis handeln oder aber um eine Einwilligung des Betroffenen.
Mit der Rechtsgrundlage eng verzahnt sind die Zwecke, also das Warum, der Datenverarbeitung. Auch diese sollten möglichst konkret definiert werden. Schließlich gilt es, die technische Infrastruktur, also das Wie, der Datenverarbeitung für die folgende rechtliche Prüfung festzuhalten.
Die Kontextanalyse der Datenverarbeitung dient vorwiegend der Dokumentation, um im nächsten Schritt die Rechtmäßigkeitsprüfung vornehmen zu können.
2. Schritt: Rechtliche Prüfung der Datenverarbeitungen
Die rechtliche Prüfung ist der zweite Vorbereitungsschritt zur eigentlichen Anwendung des Standard-Datenschutzmodells. Zunächst sollte geprüft werden, ob die in der vorangehenden Kontextanalyse definierten Zwecke rechtlich legitim sind.
Ein weiterer Prüfpunkt sind Datenübermittlungen: Welchen Personen bzw. Stellen dürfen personenbezogene Daten bekannt gemacht werden? Schließlich müssen die umgesetzten technischen und organisatorischen Maßnahmen rechtlich bewertet werden.
Die rechtliche Prüfung soll im Ergebnis die Frage beantworten, ob die vorgesehene Datenverarbeitung grundsätzlich zulässig ist bzw. welchen rechtlichen Anforderungen sie unterliegt.
3. Schritt: Spezifizierung der Gewährleistungsziele
Dieser Schritt ist der Hauptanwendungsschritt des Standard-Datenschutzmodells. In ihm geht es im Wesentlichen darum, eine über die grobe rechtliche Analyse hinausgehende Wertung der Datenverarbeitung zu erreichen, um anschließend Verbesserungsmaßnahmen entwickeln zu können. Hierzu müssen die im Standard-Datenschutzmodell definierten Gewährleistungsziele auf die einzelnen Datenverarbeitungen angewendet werden. Dabei sind sowohl qualitative Parameter (z. B. Bestimmung der Zugriffsberechtigten) als auch quantitative Parameter (z. B. Verfügbarkeitsanforderungen) anzulegen.
Der wohl wichtigste Schritt innerhalb der Spezifizierungsphase ist die Durchführung der sogenannten Schutzbedarfsanalyse einer Datenverarbeitung. Durch Zuordnung von Schutzbedarfskategorien („normal“, „hoch“ und „sehr hoch“) zu sogenannten Schadensszenarien, wird der Eingriff in das Persönlichkeitsrecht eines Betroffenen bewertet. Die Schutzbedarfsanalyse als Kern der Datenschutzprüfung lohnt einer genaueren Betrachtung:
Welche Schadensszenarien gibt es im Standard-Datenschutzmodell?
Das Datenschutzmodell sieht folgende sechs Schadensszenarien vor:
- Unrechtmäßige Datenverarbeitung (Verstoß gegen Gesetze / Vorschriften / Verträge),
- Beeinträchtigungen für informationelle Selbstbestimmung,
- Beeinträchtigungen des Ansehens und der Reputation des / der Betroffenen,
- Beeinträchtigungen der persönlichen Unversehrtheit des / der Betroffenen,
- Finanzielle Auswirkungen für den / die Betroffenen und
- Auswirkungen auf nicht unmittelbar Betroffene (Grundrechtsausübung).
Wie erfolgt die Zuordnung von Schutzbedarfskategorien zu Schadensszenarien?
Anschließend stellt sich die Frage, nach welchen Kriterien die Zuordnung der Schutzbedarfskategorien zu den Schadensszenarien erfolgen kann. Maßgeblich sind u. a. die Erwartungshaltung des Betroffenen hinsichtlich der Datenverarbeitung, die Möglichkeit zur Intervention des Betroffenen, die Tolerabilität der Datenverarbeitung und das (unmittelbare) Schadenspotential.
Was ist das Ergebnis der Zuordnung zu den Schadensszenarien?
Folgende Praxisfragen lassen sich mithilfe der Zuordnung von Schutzbedarfskategorien zu Schadensszenarien für eine konkrete Datenverarbeitung beantworten:
- Für welchen Zeitraum ist der Verlust der Verfügbarkeit der Daten für die Betroffenen in welchem Grad tolerabel?
- Mit welcher Verzögerung soll die Aktualität der Daten garantiert werden?
- Mit welcher zeitlichen Präzision muss die Verarbeitung im Nachhinein nachvollzogen werden können?
- In welchem zeitlichen Rahmen muss die verantwortliche Stelle in der Lage sein, die jeweiligen Betroffenenrechte zu gewähren?
Neben der Beantwortung solcher Praxisfragen erlaubt die Schutzbedarfsanalyse eine Abwägung zwischen den Persönlichkeitsinteressen des Betroffenen und dem Datenschutzaufwand des verantwortlichen Unternehmens. Auch lassen sich Restrisiken abschätzen, die aus der (nur begrenzten) Erfüllung eines Gewährleistungsziels resultieren.
4. Schritt: Soll-Ist- bzw. Soll-Plan-Vergleich
Den Abschluss der Prüfung auf Grundlage des Standard-Datenschutzmodells bildet ein Soll-Ist-Vergleich. Darin werden die von der verantwortlichen Stelle eingeleiteten oder sogar bereits umgesetzten Datenschutzmaßnahmen den Maßnahmen gegenüberstellt, die das SDM mit seinen Gewährleistungszielen und generischen Maßnahmen als optimale Umsetzung definiert. Der Soll-Ist-Vergleich ermöglicht es somit, die Weiterentwicklung des Datenschutzes im Detail umzusetzen.
Fazit: Ein solides, aber etwas sperriges Modell
Bei konsequenter Anwendung des Standard-Datenschutzmodells schafft dieses nicht nur Klarheit über den faktischen Stand des Datenschutzes im eigenen Unternehmen, sondern ermöglicht auch die Gewichtung einzelner (ggfs. noch zu ergreifender) Schutzmaßnahmen. Hierzu bieten die Schutzbedarfskategorien und die Schadensszenarien eine gute Hilfestellung.
Vor allem mit Blick auf den europäischen und internationalen Raum bleibt allerdings fraglich, ob sich das Standard-Datenschutzmodell in seiner teilweise starren und abstrakten Form in der datenschutzrechtlichen Praxis behaupten wird.
Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!